도메인을 조치했는데, ICANN은 왜 조사를 끝내지 않을까

요약

• ICANN의 DNS 악용 조사는 신고된 활동이 완화된 뒤에도 수개월간 이어질 수 있다. 개별 도메인 조치뿐 아니라 등록대행자나 레지스트리의 대응 체계도 확인하기 때문이다.
• 완료된 개선 계획은 70건을 넘으며, 이 가운데 87.5%에서 재발 징후가 관찰되지 않았다는 것이 ICANN의 설명이다. 다만 계획별 관찰 기간이 없어 모두 같은 시간 동안 검증됐다고 볼 수는 없다.

87.5%. ICANN이 완료된 DNS 악용 개선 계획에 대해 제시한, 재발 징후가 관찰되지 않은 비율이다. 언뜻 성적표처럼 읽히지만 그 옆에는 중요한 정보가 빠져 있다. 각각의 계획을 얼마나 오래 지켜봤는지는 공개되지 않았다.

10월 15일 발표를 읽는 출발점도 여기에 있다. ICANN이 확인하려는 것은 신고된 도메인을 한 번 조치했는지에 그치지 않는다. 대응이 늦거나 효과가 없었다면 절차, 도구, 전문성에 문제가 있을 수 있다. 눈앞의 악용 활동을 막은 뒤에도 그 원인을 살피느라 조사가 수개월간 열려 있을 수 있다는 설명이다.

답변 한 통으로 끝나지 않는 개선

ICANN은 모든 사업자에게 같은 해결책을 지정하지 않는다고 밝힌다. 계약을 맺은 등록대행자나 레지스트리 운영자가 개선책을 제시하면, ICANN이 문제에 맞는지 검토하고 이행과 효과를 확인한다. 내부 절차와 시스템, 직원 교육, 모니터링 도구, 재판매 사업자 감독이 그 대상이 될 수 있다.

확인 방법도 공개했다. 새로운 민원을 살피거나 시험용 신고를 제출하고, 응답과 악용 완화에 걸린 시간을 평가하며, 업계 데이터 등을 참고한다. 조사 기간은 사업자가 조치를 다듬는 시간이자 ICANN이 개선이 지속되는지 확인하는 시간이 된다.

그 과정이 필요한 이유를 보여주는 사례가 발표문에 연결돼 있다. ICANN은 Fewmoretaps OU가 Trustname.com이라는 이름으로 운영하던 등록대행자에 보낸 인증 종료 통지에서, 이 업체가 처음에는 확보된 증거를 종합적으로 판단하는 대신 피싱을 통해 로그인 정보가 실제 수집되거나 전송됐다는 증명을 요구했다고 지적했다. 통지는 최초 신고로부터 수주 뒤에야 완화 조치가 이뤄졌다고 설명한다.

또한 2월에 시행한 개선 조치와 6월·7월에 추가로 제시한 조치가 효과를 입증하지 못했고, 추가 위반 통지와 새로운 민원이 뒤따랐다고 적었다. 이는 특정 계약 사건에서 ICANN이 내린 판단이다. 모든 등록대행자의 관행으로 일반화할 수는 없다. 다만 도메인을 조치하는 일과 신고를 제대로 판단하는 체계를 갖추는 일이 왜 별개인지 드러낸다.

비율과 건수, 그리고 서로 다른 날짜

ICANN에 따르면 완료된 개선 계획은 70건이 넘고 추가 계획도 마련되고 있다. 이 중 87.5%에서 당시까지 재발 징후가 나타나지 않았다. 나머지에는 위반 통지와 필요한 경우 인증 종료를 포함한 신속한 준수 조치가 취해졌다고 한다.

발표문은 감시 방법을 설명하지만 계획별 관찰 기간, 재발 지표의 완전한 정의, 전체 계획의 개별 결과표를 제공하지 않는다. 따라서 이 비율이 영구적인 성공을 뜻하지도, 모든 계획이 같은 길이의 검증을 거쳤다는 뜻도 아니다. 재발을 설명하는 문장의 ‘현재까지’에는 별도의 기준일이 없다. 다른 통계에 쓰인 날짜를 그대로 대입해서는 안 된다.

조사 건수의 집계 기간은 2024년 4월 5일부터 2026년 8월 5일까지다. ICANN은 650건이 넘는 조사를 시작하고 570건 이상을 해결했다고 밝혔다. 해결된 사안 중 약 66%에서는 악용을 멈추는 조치, 8%에서는 악용을 방해하는 조치가 이뤄졌다. 21%에서는 계약 당사자가 조치할 만한 증거가 없다고 판단하고 그 설명과 근거를 제출했다.

그러므로 해결 건수를 모두 도메인 중지 건수로 읽을 수는 없다. 수치는 대략적인 값이며 발표문은 남은 비중도 세분하지 않았다. 이를 역산해 정확한 사건 수를 만들면 원자료보다 더 정밀한 숫자인 것처럼 보이게 된다.

발표는 위반 통지 8건과 등록대행자 인증 종료 1건도 보고한다. 종료 항목의 링크가 바로 Trustname.com 문서다. 그런데 통지일은 8월 27일이고 명시된 종료 효력일은 9월 11일이다. 둘 다 앞서 제시한 통계 마감일인 8월 5일보다 늦다. 발표문은 이 차이를 설명하지 않는다. 보고된 총계와 개별 통지의 날짜를 나눠 읽어야 하며, 한 기간에 모두 들어맞는 것으로 정리해서는 안 된다.

6월 2일의 이전 발표는 2026년 4월 5일까지 530건에 가까운 조사를 시작하고 480건 넘게 해결했다고 밝혔다. 두 집계 마감일 사이에는 네 달이 있다. 누적된 근삿값을 빼는 것만으로 그 네 달의 정확한 증가분이나 성과 추이를 계산할 수는 없다.

도메인 중지가 언제나 답은 아니다

ICANN의 2024년 준수 안내는 등록대행자 인증 계약과 기본 gTLD 레지스트리 계약의 의무를 설명한다. 관련 개정은 2024년 4월 5일부터 적용됐다. 계약상 DNS 악용은 악성코드, 봇넷, 피싱, 파밍, 그리고 이 네 유형을 전달하는 수단으로 쓰이는 스팸을 뜻한다. 인터넷의 모든 유해 콘텐츠에 대한 일반적인 단속 권한은 아니다.

등록 서비스를 제공하는 등록대행자는 조치 가능한 증거를 확보하면 자신이 맡는 도메인의 악용을 멈추거나 방해하는 데 합리적으로 필요한 적절한 조치를 신속히 해야 한다. 레지스트리 운영자는 악용을 멈추거나 방해하는 데 기여해야 하며, 최소한 관련 증거와 함께 담당 등록대행자에게 전달하거나 적절한 직접 조치를 취해야 한다. 두 역할의 의무는 연결돼 있지만 같지는 않다.

증거와 역할뿐 아니라 부수적인 피해도 고려 대상이다. 정상적으로 쓰이던 도메인이 침해됐을 때 도메인 전체를 중지하면 정상 웹사이트, 이메일, 하위 도메인까지 끊길 수 있다. 따라서 중지가 유일한 대응은 아니다.

공개 범위 역시 전체 조사와 일치하지 않는다. ICANN은 비공식 절차와 공식 절차 모두에서 개선 계획이 나올 수 있지만 공식 절차의 계획만 공개된다고 설명한다. 공식 사안은 전체 준수 업무에서 더 작은 비중을 차지한다. 공개된 계획만으로 모든 조사 결과를 대표할 수는 없는 이유다.

인용한 발표 시점에 ICANN은 민원과 감사 중심의 업무를 보완할 선제적 집행 체계도 개발 중이었다. 10월 글은 완성된 체계나 새 규칙을 발표하지 않았다. 현재 설명된 후속 조사의 핵심은 비교적 구체적이다. 이번 신고에 대응했는지, 그리고 그때 고친 절차가 다음 신고에서도 작동할지를 확인하는 것이다.

정정, 2026년 10월 24일: 이전 글이 두 집계 마감일의 차이를 두 달로 설명한 부분을 네 달로 바로잡았다. 발표문이 직접 연결한 Trustname.com 인증 종료 통지도 확인해 통지 날짜와 통계 기간을 구분했으며, 재발 비율에 공개된 정보와 공개되지 않은 정보를 명확히 했다.